QNAP ha identificado múltiples vulnerabilidades que afectan a sus sistemas operativos QTS y QuTS hero, así como al License Center. Estas vulnerabilidades podrían comprometer la seguridad de los sistemas y permitir accesos no autorizados.
Productos afectados:
- QTS: versiones 5.1.x y 5.2.x.
- QuTS hero: versiones h5.1.x y h5.2.x.
- License Center: versiones 1.9.x.
Impacto
Las vulnerabilidades de severidad altas se identifican como:
CVE-2024-48868: Puntuación CVSS 8.7. Una vulnerabilidad de neutralización incorrecta de secuencias CRLF (‘inyección CRLF’), podría permitir a un actor malicioso remoto modificar datos de la aplicación.
CVE-2024-50393: Puntuación CVSS 8.7. Una vulnerabilidad de inyección de comandos que podría permitir a un actor malicioso remoto ejecutar comandos arbitrarios.
CVE-2024-48863: Puntuación CVSS 7.7. Una vulnerabilidad de inyección de comandos que afecta a License Center. Si se explota, la vulnerabilidad podría permitir a un actor malicioso remoto ejecutar comandos arbitrarios.
CVE-2024-48865: Puntuación CVSS 7.3. Una vulnerabilidad de validación de certificado incorrecta. Si se explota, la vulnerabilidad podría permitir a un actor malicioso con acceso a la red local comprometer la seguridad del sistema.
Las demás vulnerabilidades se identifican como:
CVE-2024-48859: Puntuación CVSS 5.3, severidad media. La vulnerabilidad de autenticación incorrecta. Si se explota, la vulnerabilidad podría permitir a un actor malicioso remoto comprometer la seguridad del sistema.
CVE-2024-48867: Puntuación CVSS 5.3, severidad media. Una vulnerabilidad de neutralización incorrecta de secuencias CRLF (‘inyección CRLF’) que podría permitir a un actor malicioso remoto modificar datos de la aplicación.
CVE-2024-48866: Puntuación CVSS 2.3, severidad baja. La vulnerabilidad de manejo inadecuado de la codificación de URL (codificación hexadecimal), podría permitir a un actor malicioso remoto ejecutar el sistema en un estado inesperado.
CVE-2024-50402: Puntuación CVSS 2.1, severidad baja. La vulnerabilidad de uso de cadena de formato controlada externamente. Si se explota, la vulnerabilidad podría permitir a actor malicioso remoto que hayan obtenido acceso de administrador obtener datos secretos o modificar la memoria.
CVE-2024-50403: Puntuación CVSS 2.1, severidad baja. Una vulnerabilidad de uso de cadenas de formato controladas externamente. Si se explota, la vulnerabilidad podría permitir a un actor malicioso remoto que hayan obtenido acceso de administrador obtener datos secretos o modificar la memoria.
Recomendación:
Actualizar los productos afectados a la última versión disponible desde la web oficial del fabricante.
Referencias:
https://nvd.nist.gov/vuln/detail/CVE-2024-48865
https://www.qnap.com/en/security-advisory/qsa-24-49
https://www.qnap.com/en/security-advisory/qsa-24-50
https://nvd.nist.gov/vuln/detail/CVE-2024-48863
https://nvd.nist.gov/vuln/detail/CVE-2024-50393
https://nvd.nist.gov/vuln/detail/CVE-2024-48868